Política de divulgación de vulnerabilidades
Chargezen invita a los investigadores de seguridad a divulgar vulnerabilidades de manera responsable. Nos comprometemos a trabajar con la comunidad de seguridad para proteger a nuestros clientes.
Reportar una vulnerabilidad
¿Encontraste un problema de seguridad? Repórtalo de manera responsable. Agradecemos tu ayuda para mantener seguro a Chargezen.
Tiempo de respuesta previsto
24 horas
Problemas críticos: el mismo día hábil
Dentro del alcance
- chargezen.com y todos sus subdominios
- admin.chargezen.com (panel de comerciantes)
- api.chargezen.com (API REST y GraphQL)
- Aplicaciones móviles de Chargezen (iOS, Android)
- Extensiones de navegador de Chargezen
- Proyectos de código abierto en github.com/chargezen
Fuera del alcance
- Servicios e integraciones de terceros
- Cuentas o dispositivos personales de empleados de Chargezen
- Ataques de seguridad física o ingeniería social
- Ataques de denegación de servicio (DoS/DDoS)
- Spam o ingeniería social
- Vulnerabilidades reportadas previamente
- Problemas que requieren acceso físico a los dispositivos
Recompensas por vulnerabilidades
Las recompensas se determinan según la gravedad, el impacto y la calidad del reporte.
Crítica
Ejecución remota de código, inyección SQL, evasión de autenticación, violación de datos
US$5000 - US$15 000
Ejemplos:
Alta
Exposición significativa de datos, escalada de privilegios, XSS almacenado con impacto
US$1000 - US$5000
Ejemplos:
Media
Exposición limitada de datos, CSRF, XSS reflejado, divulgación de información
US$250 - US$1000
Ejemplos:
Baja
Problemas menores, incumplimiento de buenas prácticas, divulgación de información de bajo impacto
US$50 - US$250
Ejemplos:
Pautas de divulgación responsable
Lo que te pedimos
- Proporciona reportes detallados con pasos para reproducir el problema
- Danos un plazo razonable para corregir los problemas antes de divulgarlos (90 días)
- No accedas, modifiques ni elimines datos de otras personas
- No realices ataques que degraden el servicio (DoS)
- No uses herramientas de análisis automático sin coordinación
- Actúa de buena fe para evitar violaciones de privacidad
Lo que prometemos
- Responder a los reportes dentro de 24 horas
- Trabajar contigo para entender y validar los problemas
- Mantenerte informado del avance de la corrección
- No emprender acciones legales por investigaciones de buena fe
- Reconocer públicamente a los investigadores (con su permiso)
- Pagar las recompensas sin demora después de la validación
Qué incluir en tu reporte
Los reportes de alta calidad nos ayudan a corregir problemas más rápido y pueden dar lugar a recompensas mayores.
Tipo de vulnerabilidad
Clasificación (XSS, SQLi, IDOR, etc.)
URL o endpoint afectado
Ubicación específica de la vulnerabilidad
Pasos para reproducir
Pasos claros y numerados que cualquiera pueda seguir
Prueba de concepto
Capturas de pantalla, videos o código que demuestren el problema
Evaluación del impacto
Impacto potencial si un atacante lo explota
Solución sugerida
Recomendaciones opcionales, pero bienvenidas
Protección jurídica
Cuando se realiza una investigación de seguridad conforme a esta política, la consideramos:
- Autorizada: no emprenderemos acciones civiles ni penales contra investigadores que actúen de buena fe.
- Lícita: trabajaremos contigo para entender y resolver los problemas rápidamente y no presentaremos denuncias contra investigadores que cumplan esta política.
- Útil: coordinaremos la divulgación contigo y te daremos reconocimiento (si lo deseas) al publicar las correcciones.
¿Listo para reportar?
Ayúdanos a mantener seguro a Chargezen. Envía tu reporte de vulnerabilidad y únete a nuestro salón de la fama de seguridad.
